AI Act, chatbot a GDPR: co řešit v malé firmě a v jakém pořadí
AI Act upravuje, jak se smí umělá inteligence vyvíjet a používat, a GDPR upravuje, jak zacházíte s osobními údaji. U chatbotu nebo AI asistenta v obchodě se obojí potkává, protože do něj tečou jména, e-maily a obsah poptávek.
Malá firma, která AI jen používá, většinou nemusí řešit nic dramatického, ale musí vědět, co AI dělá, kam putují data a kdo má poslední slovo. Tento článek není právní poradenství. Je to pracovní postup, jak si situaci uspořádat dřív, než přijde dotaz od zákazníka nebo auditora. U konkrétních případů se poraďte s právníkem.
V čem se AI Act a GDPR liší
Nejjednodušší je dívat se na to, co který předpis hlídá.
| Otázka | GDPR | AI Act |
|---|---|---|
| Co reguluje | Zpracování osobních údajů | Systémy umělé inteligence a jejich použití |
| Na koho míří | Správce a zpracovatele údajů | Poskytovatele i uživatele AI |
| Typická otázka | Na jakém základě data zpracovávám a komu je předávám? | Víme, že komunikujeme s AI, a dohlíží na ni člověk? |
| Platí i bez AI | Ano | Ne, týká se jen AI |
V praxi se tedy nenahrazují. Chatbot, který odpovídá na poptávky a pracuje s e-maily zákazníků, spadá pod GDPR vždy. AI Act k tomu přidává pohled na to, jak AI používáte a kdo za její výstupy odpovídá.
Co z AI Actu typicky řeší malá firma
Pokud AI nevyvíjíte, ale kupujete a používáte ji na poptávky, nabídky a e-maily, jste hlavně v roli uživatele. Praktické okruhy jsou obecně tři:
- Transparentnost: člověk, který komunikuje s chatbotem, by měl vědět, že mluví s AI. U e-mailů, které před odesláním upraví a schválí váš kolega, je situace jiná než u plně automatického chatu na webu. U konkrétního nastavení si to ověřte.
- Gramotnost týmu: lidé, kteří s AI pracují, by měli chápat, co umí, kde chybuje a co do ní nevkládat.
- Lidský dohled: rozhodnutí o cenách, slevách nebo přijetí zakázky zůstává člověku.
Podrobnější přehled najdete v článku AI Act pro malé firmy. Konkrétní termíny a zařazení do rizikových kategorií nechte ověřit právníkem, tady je záměrně neuvádíme.
Co z GDPR přibývá, když nasadíte chatbot
Nic nového, jen se to začne ukazovat. Poptávka obsahuje osobní údaje a jakmile text putuje do AI, vzniká další zpracování. Ověřte si:
- jaké údaje chatbot nebo asistent vidí a jestli je skutečně všechny potřebuje,
- kdo je zpracovatel a jestli máte smlouvu o zpracování,
- kde se data ukládají a kam se posílají k výpočtu modelem,
- jak dlouho se uchovávají a co se stane po skončení spolupráce,
- zda umíte zákazníkovi srozumitelně vysvětlit, proč a jak jeho údaje zpracováváte.
Kontrolní seznam máte v odpovědi o AI asistentovi a GDPR, na smlouvu se podívejte v článku o smlouvě s AI dodavatelem. Rozdíl mezi úložištěm a zpracováním modelem vysvětluje text kde jsou data při používání AI.
Postup v šesti krocích bez paniky
Pořadí je důležité: nejdřív zjistěte, co máte, teprve potom psát pravidla.
- Sepište, kde AI používáte. Chatbot na webu, asistent v poště, funkce v Raynetu nebo Pipedrive, ChatGPT, který si lidé otevírají sami. Stínové používání je nejčastější mezera.
- U každého případu určete data. Veřejné informace, běžná obchodní komunikace, citlivé či důvěrné věci. Pomůže text AI a důvěrné informace.
- Určete role a smlouvy. Kdo je zpracovatel, kdo subdodavatel, kde jsou data.
- Nastavte schvalování. Nic zákaznického neodchází bez schválení člověkem.
- Napište jednostránkové interní pravidlo. Co je dovoleno, co ne, komu hlásit chybu.
- Zapište to a po půl roce zkontrolujte. Nástroje i předpisy se mění, takže pravidlo není hotové jednou provždy.
Šablona interního pravidla
AI nástroje používáme na přípravu konceptů odpovědí, nabídek a připomínek. Každý koncept před odesláním přečte a schválí zodpovědný kolega. Do AI nevkládáme hesla, platební údaje ani informace označené jako důvěrné. Pokud si nejsme jisti, ptáme se vedoucího. Chybu nebo únik hlásíme ihned na [e-mail odpovědné osoby]. Pravidlo revidujeme jednou za půl roku.
Rychlý test po kroku 6
Zeptejte se kolegy, který AI používá: Víš, co do ní nesmíš vložit? Víš, kdo odpověď schvaluje? Víš, komu nahlásit chybu? Pokud na některou otázku nezná odpověď, pravidlo je třeba zjednodušit nebo lépe předat.
Jak to řeší BOTrento
BOTrento Chief of Staff je řízený proces pro poptávky, nabídky a follow-upy, ne volný chat. Hlídá poštu a nahraná data, připravuje koncepty odpovědí a nabídek a nic neodesílá sám. Každý návrh e-mailu nebo nabídky schvaluje člověk, což přímo podporuje lidský dohled. Víc o produktu najdete na stránce Chief of Staff.
Data ukládáme na serverech v Německu (EU). Jazykový model zpracovává jen texty nutné pro úkol přes API komerčního poskytovatele; standardně přes náš účet, volitelně přes vlastní klíč, viz nápověda k API klíčům. Server v EU s voláním externího AI API není uzavřený výpočet a komerční poskytovatelé data nepoužívají k tréninku. AI je v ceně tarifu s měsíčním limitem, podrobnosti jsou v ceníku.
Čtení příloh BOTrento neumí, vychází z textu e-mailu. Celý postup si můžete prohlédnout v ukázce procesu. Zkušební doba trvá 14 dní zdarma, bez karty a bez vlastního API klíče, a začíná prvním nahráním dat. Vyzkoušejte ji na vlastních poptávkách.
Na co si dát pozor
- Chatbot na webu bez jasného označení. Návštěvník by měl poznat, že píše s AI.
- Automatické odesílání. Čím méně lidského dohledu, tím víc musíte řešit a dokládat.
- Sdílené účty a klíče v týmu. Bez pravidel nevíte, kdo co do AI posílá.
- Příliš široké tvrzení o umístění dat. Slib „vše zůstává v EU“ ověřte: úložiště a zpracování modelem jsou dvě různá místa.
- Pravidlo jen v šuplíku. Pokud o něm tým neví, nic nechrání.
Pokud se chcete ptát dodavatelů systematicky, využijte i text o tom, jak ohlídat oddělení dat v chatbotu.
Časté otázky
Co je AI Act?
Je to evropský předpis, který stanovuje pravidla pro vývoj a používání umělé inteligence. Malých firem, které AI jen používají, se týká hlavně transparentnost, proškolení lidí a lidský dohled.
Jaký je rozdíl mezi GDPR a AI Actem?
GDPR chrání osobní údaje a platí vždy, když je zpracováváte. AI Act se týká samotných systémů umělé inteligence a jejich použití. Chatbot s daty zákazníků musí splnit oboje.
Musí malá firma kvůli AI Actu najímat právníka?
Ne nutně. Základ zvládnete interním pravidlem, přehledem používaných nástrojů a schvalováním výstupů. Konkrétní nejasnosti nebo rizikové použití ale s právníkem konzultujte.
Zajistí použití AI nástroje v EU soulad s GDPR?
Samo o sobě ne. Důležité je, jaká data zpracováváte, na jakém základě, jakou máte smlouvu s dodavatelem a kam se text posílá k výpočtu modelem.
Shrnutí
- GDPR hlídá osobní údaje, AI Act používání AI; u chatbotu platí obojí.
- Malá firma jako uživatel AI řeší hlavně transparentnost, proškolení týmu a lidský dohled.
- Začněte přehledem nástrojů, daty, rolemi a smlouvami a sepište jednostránkové pravidlo.
- Nic zákaznického by nemělo odejít bez schválení člověkem.
- Konkrétní případy a termíny ověřte s právníkem.
Vyzkoušejte BOTrento 14 dní zdarma
Začněte řádem v poptávkách a nabídkách. Zkušební doba BOTrento trvá 14 dní zdarma a ukáže vám, jak funguje řízený proces se schvalováním člověkem. Vyplňte pár údajů a přístup vám hned přijde e-mailem. S napojením pošty rádi pomůžeme.
14 dní zdarma, bez karty a bez vlastního API klíče. Zkušební doba začíná až prvním nahráním vašich dat. Pak od 1 990 Kč měsíčně bez DPH, AI v ceně.
Nic se neodešle bez vašeho schválení. Kartu přidáte až na konci, pokud budete pokračovat; bez platby se přístup zablokuje do úhrady, data držíme 30 dní a export je dostupný. Ceník · Prohlédnout ukázku procesu
Děkujeme, registraci máme.
Na váš e-mail jsme poslali odkaz pro přihlášení a první kroky. Pokud nedorazí do pár minut, zkontrolujte hromadnou poštu.